[论文解读] Sarbanes-Oxley: What About all the Spreadsheets?

Raymond R. Panko, Nicholas Ordway|ArXiv.org|Apr 6, 2008

Spreadsheets and End-User Computing参考文献 48被引用 25

一句话总结

本文认为，尽管萨班斯-奥克斯利法案强调财务报告的完整性，但广泛应用于企业财务的电子表格仍因控制薄弱而成为错误和欺诈的主要来源。本文提出，全面的电子表格测试和结构化的控制框架对于降低风险至关重要，实证证据表明电子表格错误普遍存在且代价高昂，因此亟需在欺诈检测和验证技术方面开展新研究。

ABSTRACT

The Sarbanes-Oxley Act of 2002 has finally forced corporations to examine the validity of their spreadsheets. They are beginning to understand the spreadsheet error literature, including what it tells them about the need for comprehensive spreadsheet testing. However, controlling for fraud will require a completely new set of capabilities, and a great deal of new research will be needed to develop fraud control capabilities. This paper discusses the riskiness of spreadsheets, which can now be quantified to a considerable degree. It then discusses how to use control frameworks to reduce the dangers created by spreadsheets. It focuses especially on testing, which appears to be the most crucial element in spreadsheet controls.

研究动机与目标

• 分析电子表格在企业财务报告中的使用所带来的风险，特别是在萨班斯-奥克斯利法案合规背景下的风险。
• 识别当前电子表格实践在防范错误和欺诈方面的局限性。
• 提出系统性电子表格测试和控制框架对于降低财务报告风险至关重要。
• 强调需要开展新研究，以开发针对电子表格的欺诈检测和验证能力。
• 基于现有错误文献和实证发现，量化电子表格的风险程度。

提出的方法

• 作者分析现有电子表格错误文献，以量化其在财务环境中的发生频率和影响。
• 将常用于软件工程和信息系统中的控制框架原则应用于电子表格管理。
• 该研究强调测试作为主要控制机制，倡导采用全面且可重复的测试协议。
• 作者利用基于案例的推理和先前研究的实证数据，支持建立结构化电子表格治理的必要性。
• 提出将电子表格控制整合到更广泛的 enterprise 风险管理和内部控制体系中。
• 本文借鉴欧洲电子表格风险小组（EuSpRIG）及其他来源的研究成果，为改进电子表格实践奠定基础。

实验结果

研究问题

• RQ1 在萨班斯-奥克斯利法案背景下，电子表格在财务报告中的使用存在哪些主要风险？
• RQ2 现有控制框架如何适应以管理电子表格相关风险？
• RQ3 为何电子表格测试被视为降低错误的最关键控制机制？
• RQ4 当前方法在检测和预防电子表格欺诈方面存在哪些局限性？
• RQ5 为开发有效的电子表格欺诈控制能力，需要开展哪些新研究？

主要发现

• 电子表格错误普遍存在且代价高昂，研究表明显著比例的财务电子表格至少包含一个错误。
• 错误风险可量化，且随电子表格复杂度增加以及缺乏验证程序而上升。
• 全面测试被确定为降低电子表格错误最有效的控制机制。
• 当前企业实践往往未能实施系统性测试，导致财务数据易受不准确影响。
• 亟需开展新研究，以开发针对电子表格的先进欺诈检测和控制机制。
• 萨班斯-奥克斯利法案提高了对电子表格风险的认识，但有效控制措施的实施仍显不足。